Φιλτράρισμα email μέσω VPN: πού εκτελούνται πραγματικά οι κανόνες περιεχομένου

Αυτό το αίτημα ακούγεται σαν πρόβλημα δικτύου: σταματήστε έναν συγκεκριμένο τύπο συνημμένου να φεύγει από το κτίριο, και το VPN είναι ήδη εκεί, άρα χρησιμοποιήστε το. Αυτό το πλαίσιο καταρρέει στο πρώτο ερώτημα που πρέπει να απαντήσει το φίλτρο. Οι κανόνες περιεχομένου χρειάζονται να δουν το μήνυμα, και το μήνυμα γίνεται ορατό σε διαφορετικό επίπεδο από τη σήραγγα. Ακολουθώ τη διαδρομή του ταχυδρομείου προς τα έξω από το πακέτο και σταματώ στο πρώτο σημείο όπου τα απαιτούμενα δεδομένα υπάρχουν πραγματικά.

Τρία επίπεδα είναι ανεξάρτητα: η μεταφορά VPN, η σύνδεση SMTP TLS και η κρυπτογράφηση του ίδιου του μηνύματος. Καθένα τελειώνει σε διαφορετικό σημείο.

Ξεκινήστε από το επίπεδο που βλέπει το μήνυμα

Η αποενθυλάκωση VPN σάς δίνει την εσωτερική κίνηση δικτύου. Αν το πρόγραμμα αλληλογραφίας άνοιξε σύνδεση TLS σε διακομιστή υποβολής, η εσωτερική κίνηση εξακολουθεί να περιέχει αυτή τη ροή TLS, όχι αναγνώσιμο ταχυδρομείο.

Έτσι, μια καταγραφή πακέτων στο άκρο της σήραγγας απαντά σε διαφορετικό ερώτημα από το «περιέχει αυτό το μήνυμα απαγορευμένο συνημμένο».

Ο τερματισμός SMTP TLS τελειώνει στον φάκελο

Ο τερματισμός του SMTP TLS στον διακομιστή αλληλογραφίας εκθέτει το μήνυμα όπως υποβλήθηκε σε αυτό το σημείο. Ο διακομιστής βλέπει κεφαλίδες, τον φάκελο και τη δομή MIME. Αυτό αρκεί για πολλούς κανόνες περιεχομένου. Ο φάκελος σάς λέει τον αποστολέα και τους παραλήπτες όπως τους κατάλαβε ο διακομιστής.

Δεν αρκεί για ένα μήνυμα προστατευμένο με S/MIME. Ο διακομιστής λαμβάνει μια προστατευμένη οντότητα και χωρίς τα σχετικά κλειδιά δεν μπορεί να διαβάσει το περιεχόμενο μέσα της. Το ίδιο όριο ισχύει για ένα κρυπτογραφημένο συνημμένο που φτάνει άθικτο.

Μην αποδυναμώνετε την ασφάλεια μεταφοράς για να κάνετε μια παθητική καταγραφή αναγνώσιμη. Αυτό αλλάζει την αρχιτεκτονική αντί να τοποθετεί τον κανόνα εκεί όπου είναι τα δεδομένα.

Το S/MIME τελειώνει εκεί όπου είναι τα κλειδιά

Το S/MIME προστατεύει τα δεδομένα μηνύματος MIME, άρα το όριό του είναι το υλικό κλειδιών και η εγκεκριμένη διάταξη αποκρυπτογράφησης. Ένα φίλτρο χωρίς αυτά τα κλειδιά μπορεί ακόμη να ενεργεί σε ορατά μεταδεδομένα ή στην παρουσία ενός προστατευμένου αντικειμένου, αλλά αυτό είναι διαφορετικό αποτέλεσμα.

Αν ο οργανισμός λειτουργεί εγκεκριμένη πύλη κρυπτογράφησης ή διαχειριζόμενο έλεγχο τελικών σημείων, τεκμηριώστε πού υπάρχει απλό κείμενο, ποια ταυτότητα επιτρέπεται να το επιθεωρήσει και πώς προστατεύονται κλειδιά και αρχεία. Δεν υπάρχει κύριο κλειδί που δημιουργείται από τη δρομολόγηση κίνησης μέσω VPN.

Γράψτε το πριν υποσχεθεί κάποιος ταξινόμηση απλού κειμένου. Η υπόσχεση είναι το μέρος που είναι δύσκολο να ανακληθεί.

Βάλτε τον κανόνα στην πλατφόρμα αλληλογραφίας

Αν ο εγκεκριμένος διακομιστής αλληλογραφίας λαμβάνει το αναγνώσιμο μήνυμα, η υποστηριζόμενη ενσωμάτωση φίλτρου περιεχομένου του είναι το σημείο επιβολής. Αυτό διαφέρει από το να επιτρέπεται σύνδεση SMTP μέσω τείχους προστασίας. Αυτή η διάκριση καθορίζει αν ο κανόνας μπορεί να απορρίπτει, να θέτει σε καραντίνα ή μόνο να σχολιάζει.

Το Postfix, για παράδειγμα, τεκμηριώνει φιλτράρισμα περιεχομένου μετά την ουρά: η αλληλογραφία μπαίνει σε ουρά, περνά σε φίλτρο και επιστρέφει στη διαδρομή παράδοσης. Η διάταξή του μετά την ουρά διαφέρει από τις επιλογές διαμεσολαβητή πριν από την ουρά και Milter στις οποίες παραπέμπει ο ίδιος οδηγός. Επιλέξτε την υποστηριζόμενη ενσωμάτωση και τη συμπεριφορά αστοχίας για την υπηρεσία αλληλογραφίας που πραγματικά εκτελείτε.

Ένας κανόνας συνημμένων δεν είναι πλήρες πρόγραμμα κατά της διαρροής δεδομένων. Οι μεταφορτώσεις από το πρόγραμμα περιήγησης, ο κοινός χώρος αποθήκευσης και οι ενέργειες τελικών σημείων χρειάζονται δικούς τους ελέγχους.

Γράψτε τη δοκιμή αποδοχής με συνθετικά μηνύματα

Δοκιμάστε με εγκεκριμένα συνθετικά παραδείγματα: ένα επιτρεπόμενο μήνυμα, μια απαγορευμένη ενέργεια περιεχομένου και τη δηλωμένη διαχείριση της κρυπτογράφησης σε επίπεδο μηνύματος. Συμπεριλάβετε τι κάνει η υπηρεσία αλληλογραφίας όταν το φίλτρο της δεν είναι διαθέσιμο.

Το χρήσιμο αποτέλεσμα ονομάζει την ενέργεια, το σημείο επιβολής και τα δεδομένα που είναι ορατά εκεί. Το «το VPN το αποκρυπτογράφησε» απαντά σε ένα επίπεδο και δεν μπορεί να υποκαταστήσει το μοντέλο περιεχομένου και εξουσιοδότησης της εφαρμογής αλληλογραφίας.